第5章电子商务根蒂根基 ，123， 作，也能在ip的新版本(ipng或ipv6)下事情。该体系体例应该是与算法无关的，即便加密算法替 换了，也不合错误其它部分的实现发生影响。别的，该体系体例必需能履行多种安全政策，但要避
免给 不运用该体系体例的人形成倒霉影响。根据这些请求ipsec事情组制订了一个规范:认证头(au-
thentication header， ah)和封装安全有用负荷(encapsulating security payload， esp)。简言
之，ah提供ip包的真实性和完整性esp提供机要内容。
实ip ah指一段消息认证代码(message authentication code， mac)，在发送ip包以前，它
曾经被事前计较好。发送方用一个加密密钥算出ah，接管方用统一-或另外一密钥对之进行验 证。若是收发双方运用的是单钥体系体例，那它们就运用统一密钥；若是收发双方运用的是公钥体 制，那它们就运用差别的密钥
。在后一种情景，ah体系体例能分外埠提供不行否定的服务。事实 上，有些在传输中可变的域，如ipv4中的time-to-live域或ipv6中的hoplimit域，都是在 ah的计较中必需疏忽不计的。rfc1828首次划定了加封状况下a
h的计较和验证中要采用 带密钥的md5算法。而与此同时，md5和加封状况都被批判为加密强度太弱，并有替换的方 案提出。
ipesp的根本设法是整个ip包进行封装，或者只对esp内上层协定的数据(运输状况) 进行封装，并对esp的绝大部分数据进行加密。在管道状况下，为当前已加密的esp附加了 一个新的ip头(纯文本)，它可以用来对ip包
在internet上作路由选择。接管方把这个ip头 取掉，再对esp进行解密，处置并取掉esp头对本来的ip包或更高层协定的数据就像对一般 的ip包那样进行处置。在rfc1827中对esp的格局作了划定。在rfc1829中划定了
在密 码块链接(cbc)状况下esp加密息争密要运用数据加密标准(des)。尽管其它算法和状况 也是可以运用的，但一些国度对此类商品的进出口控制也是不得不思索的因素。有些国度甚 至连私用加密都要限定。
ah与esp体系体例可以适用，也能够分用。不论怎么用都逃不脱传输阐明的进犯。人们不 太分明在internet层上，是否真有经济有用的对立传输阐明的伎俩，可是在internet用户里， 真正把传输阐明当回事儿的也是百里挑一。山p
1995年8月，internet工程指导小组(iegs)核准了有关ipsp的rfc作为internet 标准 系列的引荐标准。除rfc1828和rfc1829外，另有两个试验性的rfc文件，划定了在ah和 esp体系体例中，用安全散列算法(sha)替代mds(rfc
1852)，行使三元des替代des (rfc1851)。在最简略的情况下， ipsp用手工来设置密钥。然而，当ipsp大规模发展的时 候，就需求在intermet上建立标准化的密钥管理协定。这个密钥管理协定根据ipsp安全条例 的请求，指定管理密钥的要领。
因而，ipsec事情组也卖力进行internet 密钥管理协定(ikmp)，其它若干协定的标准化 事情也曾经提上日程。
intemnet和层安全性的主要优点是它的通明性，也就是说安全服务的提供不需求应用程 序其它通讯条理和网络部件做任何改变。它的最主要的缺陷是: internet 层般对属于差别 进程和响应条例的包不作区分。对一切去往统一
地址的包，它将根据一样的加密密钥和访问 控制战略来处置。这能够招致提供不了所需的功用，也会招致机能降落。针对面向主机的密 钥分配的这些问题，rfc 1825容许(以至可以说是引荐)运用面网页设计
向用户的密钥分配，此中差别
